n8n con IA: cómo crear agentes con MCP y aprobación humana

Para muchas pymes y agencias, el primer agente de IA que llega a producción no se programa en Python: se dibuja en n8n. La plataforma de automatización de flujos, que se puede autoalojar, integra desde hace tiempo nodos de IA basados en conceptos de LangChain, y ha ido añadiendo dos piezas que cambian lo que se puede hacer con ella: soporte completo de MCP y revisión humana antes de que un agente ejecute una herramienta.

En esta guía explicamos cómo encajan esas piezas, con un ejemplo realista y un apartado de seguridad que no conviene saltarse.

¿Qué es un agente de IA en n8n?

En n8n, un agente se construye con el nodo AI Agent. A él se conectan, como subnodos, un modelo de chat (de OpenAI, Anthropic, Google u otros proveedores), opcionalmente una memoria y, obligatoriamente, al menos una herramienta. El agente recibe una petición, decide qué herramientas llamar, interpreta los resultados y responde.

Desde la versión 1.82.0, el ajuste de tipo de agente está obsoleto y todos los nodos AI Agent funcionan como «Tools Agent». Si tienes flujos antiguos siguen funcionando, pero la versión 1 del nodo desaparecerá en n8n 3.0, así que conviene actualizarlos.

Las herramientas pueden ser casi cualquier cosa: un nodo de Gmail, una consulta a Postgres, una petición HTTP o incluso otro flujo de n8n o otro agente, lo que permite montar arquitecturas multiagente de forma visual.

¿Cómo conectar un agente de n8n a un servidor MCP?

El nodo MCP Client Tool convierte a n8n en cliente MCP: el agente puede usar las herramientas que expone un servidor externo. Si el servicio está en el registro de servidores MCP de n8n, puedes conectarlo desde el panel sin configurar credenciales; para el resto, el nodo pide:

• Endpoint del servidor MCP.
• Autenticación: ninguna, Bearer, cabecera genérica, varias cabeceras u OAuth2.
• Herramientas a incluir: todas, solo las seleccionadas o todas excepto algunas.

Este último ajuste es más importante de lo que parece. Un servidor MCP puede exponer decenas de herramientas, algunas de escritura o borrado. Exponer solo las que el agente necesita reduce errores y superficie de ataque.

¿Cómo exponer flujos de n8n como servidor MCP?

El camino inverso lo cubre el nodo MCP Server Trigger, que convierte un flujo de n8n en servidor MCP. Así, un asistente compatible (en el escritorio, en un IDE o en un agente propio) puede invocar tus automatizaciones como si fueran herramientas. Cosas a saber:

• A diferencia de otros disparadores, solo se conecta a nodos de herramienta. Para exponer un flujo completo se usa el nodo Custom n8n Workflow Tool.
• Admite los transportes SSE y Streamable HTTP, pero no stdio.
• Tiene una URL de pruebas y otra de producción, que se activa al publicar el flujo.
• La autenticación puede ser ninguna, Bearer o por cabecera. En producción, no uses «ninguna».
• Detrás de un proxy inverso hay que desactivar el buffering para el endpoint MCP, y en modo cola con varias réplicas de webhooks conviene enrutar todo /mcp* a una sola réplica.

Para clientes que solo hablan stdio, la documentación muestra cómo conectarlos mediante mcp-remote, pasando el token Bearer en una variable de entorno en lugar de escribirlo en el fichero de configuración.

Lee también: MCP y A2A, juntos en la Agentic AI Foundation: qué son y para qué sirven

¿Cómo pedir aprobación humana antes de que el agente actúe?

Esta es la función que convierte a n8n en una opción seria para agentes que tocan datos reales. Con la revisión humana de herramientas, el flujo se detiene cuando el agente decide usar una herramienta marcada, envía una solicitud de aprobación y espera. El revisor ve qué herramienta se va a ejecutar y con qué parámetros; si aprueba, se ejecuta; si rechaza, la acción se cancela y el agente recibe la negativa.

Se configura desde el conector Tools del nodo AI Agent: en el panel de herramientas, en la sección Human review, eliges un canal de aprobación y conectas a ese paso las herramientas que requieren revisión. Los canales disponibles incluyen el chat de n8n, Slack, Discord, Telegram, Microsoft Teams, Gmail, WhatsApp Business Cloud, Google Chat y Outlook, y no tiene por qué ser el mismo canal por el que llega la petición. En el mensaje de revisión puedes usar {{ $tool.name }} y {{ $tool.parameters }} para mostrar exactamente qué quiere hacer el agente.

Un consejo de la propia documentación: explica en el mensaje de sistema qué herramientas requieren aprobación y cómo debe reaccionar el agente si se rechaza (informar al usuario, proponer alternativas o pedir aclaraciones).

Ejemplo: un agente de soporte para una agencia

Un caso que vemos a menudo: un formulario o un canal de chat recibe incidencias de clientes. El agente, con un modelo de chat y memoria, puede:

1. Consultar la base de conocimiento interna mediante una herramienta de solo lectura (sin revisión).
2. Consultar el estado del proyecto del cliente en el gestor de tareas a través de un servidor MCP, con solo las herramientas de lectura incluidas.
3. Crear una tarea nueva en el gestor o enviar un correo al cliente, ambas acciones con revisión humana por Slack al responsable de cuenta.

Lo que es lectura fluye solo; lo que tiene efectos visibles para el cliente pasa por una persona. Es el equilibrio razonable para empezar.

¿Cómo autoalojar n8n de forma segura?

Una instancia propia da control sobre los datos, pero también traslada la responsabilidad. En enero de 2026 se corrigió CVE-2026-21858, conocida como «Ni8mare»: una vulnerabilidad de máxima gravedad que permitía a un atacante sin autenticar hacerse con instancias autoalojadas a través de webhooks y formularios públicos, leyendo ficheros locales con claves de API, tokens OAuth o credenciales de bases de datos. Afectaba a versiones desde la 1.65.0 y se corrigió en la 1.121.0. Las recomendaciones básicas:

• Actualiza con regularidad y suscríbete a los avisos de seguridad. Si tu instancia estuvo expuesta con una versión vulnerable, rota credenciales.
• No expongas lo que no necesitas. Restringe los webhooks y formularios públicos, y pon la interfaz de edición detrás de VPN o de un proxy con autenticación.
• Protege el volumen de datos (/home/node/.n8n): ahí está la clave de cifrado de las credenciales. Usa almacenamiento persistente y copias de seguridad cifradas.
• Usa N8N_ENFORCE_SETTINGS_FILE_PERMISSIONS=true para forzar permisos seguros en el fichero de configuración.
• No uses el túnel de desarrollo en producción: la propia documentación lo desaconseja.
• Credenciales con mínimo privilegio para cada herramienta del agente: una cuenta de servicio de solo lectura para consultas, otra distinta y limitada para escrituras.

Para un arranque rápido de pruebas basta con Docker:

docker volume create n8n_data
docker run -it --rm --name n8n -p 5678:5678 \
-e N8N_ENFORCE_SETTINGS_FILE_PERMISSIONS=true \
-v n8n_data:/home/node/.n8n n8nio/n8n

Para producción, la documentación recomienda el método con Docker Compose y permite sustituir el SQLite por defecto por PostgreSQL.

¿Cuándo usar n8n y cuándo un framework de agentes?

n8n encaja cuando el agente forma parte de un proceso de negocio que ya pasa por herramientas SaaS, cuando el equipo no es puramente de desarrollo y cuando se valora ver el flujo de un vistazo. Si necesitas lógica compleja, pruebas automatizadas exhaustivas o integrar el agente dentro de tu propio producto, un framework como LangGraph o el OpenAI Agents SDK te dará más control. Muchas empresas acaban combinando ambos: agentes programados que se exponen como herramientas MCP y flujos de n8n que los orquestan.